Une conformité source de confiance

Zscaler a obtenu la certification ISO 27001, conformément aux bonnes pratiques de la norme ISO/IEC 27002: 2013, attestant que nos services reposent sur les bonnes pratiques reconnues à l’échelle internationale en matière de gestion de la sécurité de l’information et de contrôles de sécurité complets.

Zscaler a obtenu le certificat ISO 27001, y compris l’extension ISO 27701, attestant que nos services sont basés sur les bonnes pratiques internationalement reconnues pour les systèmes de gestion de la sécurité de l’information et de la confidentialité de l’information.

ISO/IEC 27018:2014 est un code de pratique centré sur la protection des données personnelles dans le cloud. Basé sur le standard de sécurité de l’information ISO/IEC 27002, il fournit des conseils de mise en place de contrôles ISO/IEC 27002 applicables aux données personnelles identifiables (PII) dans le cloud public.

Zscaler a obtenu le certificat ISO 27017 pour traiter les risques et menaces de sécurité des informations spécifiques au cloud en se référant aux contrôles des clauses 5 à 18 des normes ISO/IEC 27002: 2013 et ISO/IEC 27001.Cette certification atteste du fait que nos services sont basés sur les bonnes pratiques reconnues internationalement, tant pour les fournisseurs de services cloud que pour les clients de ces services.

Le rapport SOC 2, Type II valide de manière indépendante la conformité de nos contrôles de sécurité aux standards « Trust Services Principles and Criteria » de l’association American Institute of Certified Public Accountants.

Les rapports SOC (System and Organization Controls) de Zscaler sont des rapports d’audit indépendants d’une tierce partie qui illustrent la manière dont Zscaler réalise les principaux contrôles et objectifs de conformité. Le SOC 3 est un rapport public décrivant les contrôles internes en matière de sécurité, de disponibilité, d’intégrité du traitement et de confidentialité. SSAE 18 / ISAE 3402 Type II.

Zscaler a obtenu la certification Cloud Security Alliance (CSA) Security, Trust & Assurance Registry (STAR) de niveau 2 au niveau Gold.

Zscaler s’engage à traiter les données de ses clients et partenaires mondiaux conformément aux bonnes pratiques en matière de sécurité et de confidentialité. Nous avons créé cette évaluation à des fins d’information uniquement pour permettre aux entreprises de comprendre comment nous traitons leurs données sensibles dans le cadre des services et produits de Zscaler.

La Deutsche Cyber-Sicherheitsorganisation (DCSO), le centre de compétences allemand en matière de cybersécurité, a été fondée en 2015 par les groupes Allianz, BASF, Bayer et Volkswagen pour lutter contre la cybercriminalité organisée et l’espionnage industriel. La DCSO souhaite rassembler les entreprises, les autorités et les institutions et créer un espace d’échange de données fiable entre elles. Le service d’évaluation des fournisseurs cloud de la DCSO évalue le niveau de sécurité des fournisseurs de services cloud.

Le Trusted Information Security Assessment Exchange (TISAX®) permet l’acceptation mutuelle des évaluations de la sécurité de l’information dans l’industrie automobile et propose un mécanisme commun d’évaluation et d’échange, garantissant un partage sécurisé des informations sensibles avec les sociétés partenaires afin d’inspirer la confiance tout au long de la chaîne d’approvisionnement de l’automobile. Zscaler s’est soumis à une évaluation TISAX.

The Health Insurance Portability and Accountability Act of 1996 (HIPAA) applies to individually identified health information that relates to an individual’s past, present, or future physical or mental health condition or any other identifying information that can be used to identify the individual. HIPAA was expanded in 2009 by the Health Information Technology for Economic and Clinical Health (HITECH) Act. As stated by the U.S. Department of Health and Human Services, the HIPAA Privacy Rule establishes national standards for the protection of certain health information.

HITRUST has developed the HITRUST CSF, a certifiable framework that provides organizations with the needed structure, details and clarity relating to information protection.The assessment performed by an Authorized External Assessor to validate such information, and HITRUST's independent confirmation that the work was performed in accordance with the HITRUST® Assurance Program requirements, The Zscaler Zero Trust Platform, facilities, and supporting infrastructure of the Organization ("Scope") meet the HITRUST CSF® v11.2.0 Implemented, 1-year (i1) certification criteria.

La publication 1075 de l’Internal Revenue Service (« IRS 1075 ») définit des normes de sécurité de l’information, des directives et des accords pour la protection des agences gouvernementales américaines et de leurs agents qui accèdent aux informations fiscales fédérales (FTI). Bien que l’IRS ne publie pas de recommandation ou de certification officielle pour la conformité à la Pub 1075, Zscaler aide les entreprises à protéger les FTI gérées sur sa plateforme en alignant ses mises en œuvre des contrôles de sécurité NIST 800-53 et FedRAMP sur les exigences de sécurité respectives de la Pub 1075 de l’IRS. Zscaler a travaillé en étroite collaboration avec l’IRS pour s’assurer que ses GovClouds (US) répondent aux exigences Pub 1075 pour le stockage et le traitement des FTI.

Zscaler Internet Access (ZIA) et Zscaler Private Access (ZPA) disposent tous deux l’autorisation JAB de haut niveau. Qui plus est, ZIA est actuellement la seule solution Secure Access Service Edge (SASE) de Trusted Internet Connections (TIC) 3.0 qui a obtenu la plus haute autorisation de FedRAMP.

Les agences gouvernementales telles que le Département de la Défense peuvent s’appuyer sur nos plateformes Zero Trust leaders du marché pour relever les défis en termes d’expérience utilisateur et de coûts que représente la sécurisation de l’accès aux applications basées sur le cloud pour les utilisateurs distants et hybrides.

Zscaler Internet Access (ZIA) et Zscaler Private Access (ZPA) ont conservé l’autorisation de niveau modéré FedRAMP depuis 2018, ce qui permet aux agences fédérales, aux commandements du DoD et aux entrepreneurs fédéraux de tirer pleinement parti de Zscaler Zero Trust Exchange.

Avec ZIA et ZPA à disposition, les agences peuvent profiter des avantages de la sécurité Zero Trust pour réduire leurs frais généraux, rationaliser leurs opérations et diminuer leurs coûts.

Zscaler Private Access (ZPA) a obtenu une autorisation provisoire d’exploitation (P-ATO) au niveau d’impact 5 (IL5), comme publié dans le guide des exigences de sécurité du cloud computing du ministère de la Défense (DoD CC SRG — Department of Defense Cloud Computing Security Requirements Guide). Cela permet aux agences gouvernementales et à leurs sous-traitants d’utiliser la plateforme Zero Trust Exchange de Zscaler pour les systèmes qui gèrent leurs informations non classifiées contrôlées (CUI) les plus sensibles, ainsi que les systèmes de sécurité nationale (NSS) non classifiés. Zscaler Internet Access (ZIA) a obtenu l’autorisation d’opérer (ATO) au niveau d’impact 2 (IL2). La Defense Innovation Unit (DIU) du DoD a sélectionné Zscaler pour réaliser le prototype de ZPA et ZIA en tant que technologies d’accès sécurisé.

Zscaler est conforme à la norme Federal Information Processing Standard (FIPS 140-2), répondant aux exigences du NIST pour les modules cryptographiques. Voir les certificats n° 3154 pour Zscaler Mobile Cryptographic Module, n° 3159 pour Zscaler Crypto Module, et n° 3188 pour Zscaler Java Crypto.

Zscaler Private Access (ZPA) et Zscaler Internet Access (ZIA) ont été audités par un auditeur certifié IRAP. Le rapport démontre la conformité de Zscaler aux normes associées du gouvernement australien.

Le rapport ITAR (International Traffic in Arms Regulations) concerne les plateformes Government Cloud (« GovCloud ») Zscaler Private Access (ZPA) et Zscaler Internet Access (ZIA).

Zscaler garantit le respect des exigences du Criminal Justice Information Services (CJIS) et assure la protection des informations conformément à leur politique de sécurité.

Afin de reconnaître et de soutenir les « normes d’accessibilité à l’information et à l’électronique » définies par la section 508 du Rehabilitation Act, nous publions des auto-évaluations de l’accessibilité des produits Zscaler à l’aide de modèles d’accessibilité volontaire des produits (Voluntary Product Accessibility Template - VPAT). La section 508 a été promulguée afin d’éliminer les obstacles dans le domaine des technologies de l’information, d’offrir de nouvelles opportunités aux personnes souffrant de handicap et d’encourager le développement de technologies permettant de réaliser ces objectifs.

Zscaler a finalisé l'évaluation Trusted Internet Connection (TIC) 3.0 Overlay avec la Cybersecurity and Infrastructure Security Agency (CISA) du Département de la sécurité intérieure (Department of Homeland Security - DHS). Le TIC est une initiative fédérale de cybersécurité visant à renforcer la sécurité du réseau et du périmètre au sein du gouvernement fédéral. L’objectif de TIC 3.0 est de sécuriser les données, les réseaux et les frontières fédérales tout en offrant une visibilité sur le trafic de l’agence, y compris les communications en cloud.

La publication spéciale 800-63C du National Institute of Standards and Technology (NIST) énonce des obligations aux fournisseurs d’identité (IdP) et aux parties de confiance (RP - relying parties) des systèmes d’identité fédérés. La fédération permet à un IdP donné de fournir des attributs d’authentification et (éventuellement) des attributs d’abonné à un certain nombre de RP administrés séparément par le biais d’assertions. De même, les RP peuvent utiliser plus d’un IdP.

Le National Institute of Standards and Technology (NIST) 800-53 crée des normes et des lignes directrices relatives à la sécurité de l’information qui sont généralement applicables aux systèmes d’information fédéraux des États-Unis. Zscaler adhère au Nist 800-53 en assurant une protection suffisante de la confidentialité, de l’intégrité et de la disponibilité des informations et des systèmes d’information.

StateRAMP est un programme de cybersécurité qui répond aux besoins des responsables de l’approvisionnement et de la sécurité des gouvernements des États et des collectivités locales (SLG) aux États-Unis. Zscaler Internet Access (ZIA) Moderate Cloud a obtenu le statut StateRAMP AUTHORIZED, qui témoigne de l’engagement de Zscaler à sécuriser les employés et les données des administrations étatiques et locales.

Le programme de gestion des risques et des autorisations du Texas (TX-RAMP) fournit une approche normalisée pour l’évaluation de la sécurité, la surveillance continue et l’autorisation des fournisseurs tiers qui traitent les données d’une agence d’État ou d’un établissement public d’enseignement supérieur de l’État du Texas (agences). Zscaler a obtenu l’autorisation TX-RAMP de niveau 2 qui lui permet de traiter des données confidentielles/réglementées dans des systèmes à impact modéré ou élevé. 

Cloud Computing Compliance Controls Catalog (C5) est un système d’attestation soutenu par le gouvernement allemand, introduit en Allemagne par l’Office fédéral de la sécurité de l’information (BSI). Le C5 aide les entreprises à faire la preuve de leur sécurité opérationnelle contre les cyberattaques courantes lorsqu’elles utilisent des services cloud dans le contexte des recommandations de sécurité du gouvernement allemand pour les fournisseurs cloud.

Zscaler est certifié dans le catalogue de produits et services STIC (CPSTIC) du Centre national de cryptologie espagnol (CCN). Cette accréditation atteste que Zscaler a prouvé avec succès sa capacité à fournir des services sécurisés à l’administration publique ainsi qu’à des sociétés et entreprises d’importance stratégique en Espagne. Pour obtenir cette qualification, Zscaler a collaboré avec un auditeur tiers impartial afin de se soumettre à l’évaluation nécessaire et de répondre aux normes requises.

Zscaler a obtenu la certification Cyber Security Essentials du National Cyber Security Centre (NCSC) au Royaume-Uni. La certification NCSC nous permet d’être un fournisseur dans le cadre du contrat Commercial Crown Services soutenant les agences gouvernementales britanniques. La certification NCSC a été exigée pour les fournisseurs des agences gouvernementales britanniques qui traitent certains types de données sensibles et personnelles.

L’ENS (Esquema Nacional de Seguridad) est un cadre complet de contrôles et de normes de sécurité que les fournisseurs de services doivent appliquer pour traiter en toute sécurité les données destinées aux services publics espagnols, tels que les agences gouvernementales et les entreprises publiques. Zscaler a obtenu la certification ENS High, le plus haut niveau d’accréditation possible. Cette certification souligne le leadership de Zscaler en tant que fournisseur de solutions d’architecture Zero Trust et d’accès sécurisé, garantissant que notre plateforme cloud native répond aux exigences de sécurité rigoureuses indispensables à la protection des données sensibles du secteur public. Grâce à cette accréditation, Zscaler permet aux institutions publiques espagnoles d’accélérer leur transformation numérique en toute confiance et en toute sécurité, en réduisant les risques et en renforçant leur résilience face aux cybermenaces.

Zscaler Internet Access for Japanese Government(ZIA-JG) and Zscaler Private Access for Japanese Government(ZPA-JG) are registered cloud services under Japan’s Information System Security Management and Assessment Program(ISMAP). These services have been audited by independent third parties to and accepted by the ISMAP program regulators to meet the security standards of the Japanese government. Evidence of ISMAP certification for Zscaler services can be found on the ISMAP cloud services list(available in Japanese only). For more information about ISMAP, please refer to the official ISMAP website.

The Zscaler Zero Trust Exchange platform has attained the highest level of certification(Level 3) under Singapore’s Multi-Tier Cloud Security(MTCS) standard(SS 584). This certification attests that the Zero Trust Exchange meets the security requirements of high-impact use cases by regulated organizations and government in Singapore, based on rigorous audits conducted by an independent MTCS certification body. Evidence of Zscaler's MTCS certification can be found on the certified cloud services list operated by Singapore's Infocomm Media Development Authority(IMDA), where the Zero Trust Exchange is listed as a certified SaaS. Further information about the MTCS scheme may be found on the same website.

La norme de sécurité des données de l’industrie des cartes de paiement (Payment Card Industry Data Security Standard - PCI DSS) est destinée à protéger contre la fraude, les menaces de sécurité et les vulnérabilités relatives aux cartes de crédit. Le PCI est un organe directeur établi en septembre 2006 en tant que coentreprise par MasterCard, American Express, Visa, JCB International et Discover Financial Services.

L’Australian Prudential Regulation Authority (APRA) est le principal organisme de réglementation financière en Australie. Il décrit son objectif comme suit : réglementation prudentielle des institutions financières australiennes.L’APRA supervise les banques, les coopératives de crédit, les sociétés de crédit immobilier, les compagnies d’assurance générale et de réassurance, l’assurance-vie, l’assurance maladie privée, les sociétés amicales et la plupart des membres du secteur des pensions de retraites afin de promouvoir la sécurité financière des institutions et la stabilité du système financier australien. Ce livre blanc contient des informations générales destinées aux institutions financières qui souhaitent utiliser les services de Zscaler.

Zscaler s’engage à agir de manière éthique et intègre dans toutes ses relations commerciales et à promouvoir un lieu de travail et une chaîne d’approvisionnement où toutes formes d’esclavage moderne et de trafic d’êtres humains n’ont pas leur place, et où les travailleurs sont traités avec respect et dignité.

Zscaler gère la plus grande plateforme de sécurité cloud au monde. L’équipe chargée des opérations cloud de Zscaler s’efforce de garantir la résilience de la plateforme face à toute catastrophe naturelle ou d’origine humaine, ou à toute autre urgence imprévue.

Le Supervisory Statement 2/21 (SS 2/21) intitulé « Outsourcing and third party risk management » (2021) régit les activités des institutions financières du Royaume-Uni en matière de gestion des fournisseurs. La Prudential Regulation Authority (PRA) dépend de la Banque d’Angleterre et est responsable de la réglementation prudentielle au Royaume-Uni. Zscaler n’est pas une institution financière britannique, et par conséquent, ne relève pas directement de la norme SS 2/21. L’objectif du rapport d’attestation est de fournir un contexte sur la façon dont Zscaler répond aux exigences de sécurité des données pertinentes, comme prévu au chapitre 7 de la norme.

Nous tenons à assurer la capacité de nos clients et partenaires internationaux à se conformer aux obligations de conformité de la République populaire de Chine. En ce qui concerne les licences/certifications et les enregistrements des clouds Zscaler que nos partenaires technologiques possèdent, veuillez en faire la demande auprès de votre contact/responsable de compte Zscaler.

En mars 2023, le Securities and Exchange Board of India (SEBI) a publié le cadre pour l’adoption des services cloud par les entités réglementées (RE) de SEBI. Le cadre fournit des exigences de gouvernance, de sécurité de base, juridiques et réglementaires que les entités réglementées doivent adopter pour gérer de manière efficace leurs fournisseurs de services cloud. les principaux risques et les mesures de contrôle obligatoires que les RE doivent mettre en place avant d’adopter le cloud computing. Ce livre blanc présente les informations générales destinées aux RE qui souhaitent utiliser les services de Zscaler. Les entités réglementées peuvent utiliser ces informations pour évaluer le risque du service en termes de conformité avec la sécurité, la confidentialité et les risques commerciaux et comprendre comment Zscaler répond aux exigences du cadre.

Les principes « Secure by Design » du Royaume-Uni entendent accroître la cyber-résilience du gouvernement et améliorer le partage des données entre les entreprises. Cette politique a été élaborée par le Central Digital and Data Office (CDDO) et un groupe de travail intergouvernemental en collaboration avec le Government Security Group, le National Security Centre (NCSC) et des experts du secteur. Priorité stratégique incluse dans la feuille de route « Transformer pour un avenir numérique : 2022-2025 et la stratégie gouvernementale de cybersécurité », Zscaler est déterminé à aider ses clients à s’aligner sur ces principes. Le livre blanc « United Kingdom Secure by Design Zscaler Capabilities & Internal Alignment » fournit aux clients un aperçu de la manière d’exploiter les produits et services de Zscaler pour se conformer à ces principes, ainsi que de la manière dont Zscaler s’aligne en interne sur ces principes.

The Network and Information Systems Directive (NIS2) is an update to the original NIS Directive aimed at strengthening cybersecurity across critical sectors. NIS2 broadens the scope to include more sectors and entities, such as energy, transport, banking, and healthcare, while imposing stricter security and reporting requirements. The Zscaler white paper explores how the Zscaler Zero Trust Exchange™ platform—as well as specific capabilities and tools—can help meet these new challenges. Taking advantage of Zscaler services, organizations can enhance their security practices to support NIS 2 compliance, focusing on key areas such as risk management, incident detection, response, and governance.